Equipo de Respuesta a Incidentes

Equipo de Respuesta a Incidentes
VIII OWASP Spanish Chapter Meeting
¿Qué es un incidente
de seguridad?
¿Qué es un incidente de seguridad?
CERT/CC define un incidente de seguridad como:
“Cualquier evento adverso, real o potencial, vinculado a la
seguridad de los sistemas de información y sus redes. Así
como el acto de violar una política de seguridad de forma
implícita o explicita”.
¿Qué es un incidente de seguridad?
Actualmente clasificamos de 37 formas diferentes los incidentes.
¿Qué es un incidente de seguridad?
Un incidente de seguridad, se gestiona en función de su tipología.
– La prioridad determina la dedicación de recursos y el tiempo máximo
para la resolución del incidente de seguridad.
– La clasificación del incidente y su prioridad también determinan el coste
€€€.
¿Qué es un Equipo de
Respuesta a
Incidentes?
¿Qué es un Equipo de Respuesta a Incidentes?
Un Equipo de Respuesta a Incidentes (ERI) provee servicios y da
soporte para prevenir, gestionar y responder ante los incidentes de
seguridad de la información.
El Equipo de Respuesta a Incidentes de CESICAT da soporte a:
-
Gobierno de Catalunya y administraciones locales
Fuerzas policiales
Ciudadanía
Empresas
Universidades y centros de investigación
Catalunya
Equipo de Respuesta a Incidentes
•
Estructura Genérica del Equipo de Respuesta a Incidentes
Legal
Comunicación
Policial
Proceso del Equipo de Respuesta a Incidentes
Modelo documental del Equipo de Respuesta a Incidentes
•
Políticas y normas
– Política para el intercambio de información con terceros.
– Norma de uso de los dispositivos del laboratorio.
– …
•
Procedimientos
– Procedimiento para la adquisición de evidencias
– Procedimiento para la clasificación de incidentes
– …
•
Instrucciones operativas
– Instrucciones para el clonaje de discos duros
– Instrucciones para el despliegue de contramedidas contra el SPAM.
– …
Servicios
•
Respuesta remota a incidentes
–
–
–
–
–
–
•
Resolución de consultas.
Avisos y alertas.
Gestión de vulnerabilidades críticas.
Coordinación con áreas internas de CESICAT y con terceros.
Despliegue de sistemas de detección para ser más proactivos.
Análisis y asesoramiento en la aplicación de contramedidas.
Soporte in-situ
– Asesoramiento y coordinación en la gestión de un incidente.
– Despliegue de contingencias
– Adquisición de evidencias
•
Análisis de laboratorio
– Análisis de artefactos
– Investigación de vulnerabilidades y de la seguridad de nuevas tecnologías
– Estudio de nuevas contramedidas.
Red de CERT’s
Red de CERT’s (304 Equipos)
Red de CERT’s (304 Equipos)
Red de CERT’s
Red de CERT’s
En España existen actualmente 15 CERT’s
– 6 son del sector privado (e-LaCaixa, MAPFRE, s21sec, Telefonica,
INCITA, CyberSOC CERT).
– 9 son del sector público (CCN, INTECO, CESICAT, esCERT, IRIS-CERT,
Andalucía-CERT, CSIRT-CV, COSDEF, CESCA)
La red de CERT’s establece la voluntad, de las entidades adscritas, de
compartir información y de ayudarse mutuamente para la resolución de
incidentes.
Colaboración con terceros
El ERI colabora activamente con diferentes entidades:
ETC...
Herramientas de soporte
La gestión del ERI, actualmente se sustenta en dos herramientas:
– Gestión de tickets
– Gestión del Conocimiento
Herramientas de soporte – Gestión de tickets
Herramienta de gestión de tickets
– Es el punto de entrada de información de cualquier incidente.
– Es la herramienta de comunicación con el afectado.
– Permite realizar un tracking de toda la gestión de la comunicación con los
clientes y de las acciones que el Equipo realiza por cada incidente.
– Ayuda a entender que incidentes son mas prioritarios que el resto, cuáles
deben ser atendidos, quién es la persona encargada de gestionar un
incidente concreto, etc.
– La herramienta permite extraer automáticamente métricas e indicadores
del servicio.
Herramientas de soporte – Gestión del conocimiento
Herramienta de gestión del conocimiento
– La herramienta es un sistema Wiki, que actúa como repositorio central de
documentación del ERI.
– Encontramos todas las políticas, normas, procesos, instrucciones y
documentación relativa a investigaciones.
– Al ser una Wiki, permite:
• Inter-relación de la información.
• Encontrar la información ágilmente ( buscador, clasificación por
categorías, tags, etc.).
• Colaboración en la creación y edición del contenido
• Comentarios y puntuación del contenido (I like it!)
• Restricción de acceso al contenido
Laboratorio
CESICAT dispone de un laboratorio para investigar incidentes.
Infraestructura del laboratorio
–
–
–
–
Red aislada
Servidor ESXi per a la virtualización de sistemas.
Caja fuerte y caja ignifuga.
2 Workstation de trabajo (con diferentes herramientas instaladas + bloqueador de
escritura).
– 2 Maletines forense.
•
•
•
•
•
•
•
•
Clonadora de discos
Bloqueadores de escritura
Disco duro para la adquisición de evidencias
Lector de tarjetas
Cámara de fotos
Cables y adaptadores
Etiquetadora
Formularios de adquisición
– 1 Maletín TELCO ( tarjeta wifi, antenas, funcube, pinapple, etc…)
– Bolsas de Faraday
Laboratorio (II)
Software del Laboratorio
Maquinas Virtuales de prueba (testbeds) :
•
Windows XP (SP1, SP2, SP3), Windows 7, Windows 2003, Windows 2008, Solaris,
Linux, etc
Maquinas Virtuales con herramientas para:
•
•
•
•
•
•
•
•
Búsqueda de información: Maltego
Investigación de logs: Splunk, grep, sed, cut y awk... xD
Análisis de intrusiones: Backtrack, Nessus, Accunteix, w3af
Análisis de tráfico de red: Wireshark, NetworkMiner
Análisis y captura de datos: Encase, Helix 3 pro, F-Response, VM Insectra, Paraben
Análisis de comportamiento: Sysinternals, Norman Analyzer, FTK Analyzer
Ingeniería inversa: HexRays IdaPro
Ataques contra el cifrado: JTR, Hashcat, Rainbow tables, etc.
•
Scripts propios en Python y Ruby.
Casos de éxito
Casos de éxito del equipo de respuesta a incidentes:
•
Gestión de un total de 4.926 incidentes
– 2011  820 incidentes
– 2012  1.470 incidentes
– 2013  2.636 incidentes
•
Cooperación en la desarticulación internacional de la Botnet Bamital
con Symantec, Mossos d’Esquadra, Guardia Civil y Microsoft.
Incidentes gestionados por categoría
¿Cómo reportar un incidente?
Para reportar un incidente CESICAT pone a disposición dos canales de
comunicación:
Tel: +34 902 112 444
e-mail: [email protected]
“No se trata de ser mejor que otro, se trata de ser
mejor de lo que eras tu mismo el día anterior”
- Ferrán Adrià
¿Alguna
pregunta?
www.cesicat.cat
28